deno audit

Команда deno audit проверяет зависимости вашего проекта на наличие известных уязвимостей безопасности. Она считывает файл блокировки и сообщает о найденных рекомендациях из баз данных уязвимостей.

Примеры

Проверить все зависимости:

›_

deno audit

Показать только уязвимости с высоким и критическим уровнем серьёзности:

›_

deno audit --level=high

Проверить по базе данных уязвимостей socket.dev:

›_

deno audit --socket

Игнорировать определённые CVE (полезно для подавления ложных срабатываний или учёта принятых рисков):

›_

deno audit --ignore=CVE-2024-12345,CVE-2024-67890

Игнорировать рекомендации, для которых нет доступного исправления:

›_

deno audit --ignore-unfixable

Не сообщать об ошибке, если не удалось получить данные аудита из реестра:

›_

deno audit --ignore-registry-errors

Автоматическое исправление уязвимостей

Начиная с Deno 2.8, передайте --fix, чтобы автоматически обновить уязвимые прямые зависимости до исправленной версии, совместимой с semver:

›_

deno audit --fix

deno audit --fix обновляет package.json / deno.json и повторно создаёт файл блокировки. Чтобы изменения оставались безопасными, команда намеренно пропускает:

Обновления до следующей мажорной версии (отмечаются как неисправимые, чтобы вы могли обновить зависимости намеренно).
Неподдерживаемые форматы указания версий, например >=1 <2, 1.x, dist-теги или псевдонимы — вместо того, чтобы незаметно переписывать их в диапазон с кареткой.
Транзитивные зависимости, для которых нет подходящего пути обновления прямой зависимости. Для них будет показано сообщение «не удалось исправить автоматически».

Пример вывода:

╭ @denotest/with-vuln1 is susceptible to prototype pollution
│ ...
Found 2 vulnerabilities
Severity: 0 low, 0 moderate, 1 high, 1 critical

Fixed 1 vulnerability:
  @denotest/with-vuln1 1.0.0 -> 1.1.0

1 vulnerability could not be fixed automatically:
  @denotest/with-vuln2 (major upgrade to 2.0.0)

Для типичного рабочего процесса CI запускайте deno audit после deno ci, чтобы установка и проверка безопасности использовали одно и то же воспроизводимое состояние.

Использование в командной строке:

deno audit [OPTIONS]

Проверить установленные зависимости.

deno audit

Показать только уязвимости с высоким и критическим уровнем серьёзности

deno audit --level=high

Проверить по базе данных уязвимостей socket.dev

deno audit --socket

Не сообщать об ошибке, если не удалось получить данные аудита из реестра

deno audit --ignore-registry-errors

Параметры управления зависимостями

--frozen<BOOLEAN>необязательно

Завершить работу с ошибкой, если файл блокировки устарел.

--lock<FILE>необязательно

Проверить указанный файл блокировки. (Если значение не задано, используется "./deno.lock").

--no-lock

Отключить автоматический поиск файла блокировки.

Параметры

--env-file<FILE>необязательно

Загрузить переменные окружения из локального файла. Используется только первая переменная окружения с заданным ключом. Существующие переменные окружения процесса не переопределяются, поэтому значения переменных с уже существующими в окружении именами сохраняются. Если в файле .env указано несколько объявлений одной переменной окружения, применяется первое из них. Порядок определяется последовательностью файлов, переданных в качестве аргументов.

--fix

Автоматически исправить уязвимости, обновив пакеты.

--ignore<CVE>

Игнорировать рекомендации, соответствующие указанным идентификаторам CVE.

--ignore-registry-errors

Возвращать код завершения 0, если удалённая служба (или службы) отвечает ошибкой.

--ignore-unfixable

Игнорировать рекомендации, для устранения которых нет доступных действий.

--level<level>

Показывать только рекомендации с уровнем серьёзности не ниже указанного.

--socket

Проверить по базе данных уязвимостей socket.dev.